Introduzione
Le password stanno lasciando il posto ai passkey. Basati su crittografia a chiave pubblica e biometria, permettono accessi più rapidi e più sicuri, senza SMS e senza rischi di phishing. Google li offre già come opzione predefinita per gli account personali e l’adozione cresce in tutto l’ecosistema.
Che cos’è un passkey?
Un passkey sostituisce la password con una coppia di chiavi: la pubblica resta sul servizio, la privata rimane sul tuo dispositivo, protetta da impronta/volto o PIN. Non si può “rubare” con il phishing perché non condividi mai un segreto riutilizzabile. È come avere due fattori in uno (qualcosa che sei + qualcosa che possiedi).
Per gli utenti: attivali sui tuoi dispositivi
- Apple (iPhone/Mac): abilita e sincronizza con iCloud Keychain e usa i passkey nelle app/siti compatibili (cifratura end-to-end).
- Android/Chrome: supporto nativo per creare e usare passkey con impronta/volto o PIN.
- Password manager (1Password, ecc.): molti già salvano/usano passkey dal browser, comodo se lavori su più piattaforme.
Beneficio immediato: meno attrito (un tocco biometrico e via), meno reset e più sicurezza contro gli attacchi comuni.
Per i dev: come implementarli (senza impazzire)
- API: usa WebAuthn sul web (e Credential Manager su Android).
- Flusso base
- Registrazione: il server genera un challenge → il browser crea la chiave privata in locale e invia la pubblica.
- Login: il server invia un challenge → il client firma con la privata → il server verifica con la pubblica.
- Stack consigliato:
simplewebauthn(backend) + supporto nativo del browser. Per il mobile, valuta le guide/SDK dei provider. - Compatibilità: Chrome, Safari e Firefox supportano WebAuthn; Windows Hello, iCloud Keychain e Google Password Manager fungono da “authenticator”.
UX che funziona
- Prima la semplicità: bottone ben visibile “Accedi con passkey”.
- Fallback: offri il recupero con una security key secondaria o un metodo di backup.
- Linguaggio chiaro: “Salveremo un passkey su questo dispositivo; potrai accedere con l’impronta digitale.”
- Multi-dispositivo: spiega come usare il passkey del telefono per accedere dal laptop (QR / nearby).
Sicurezza e recupero
- Anti-phishing: niente password da rubare, niente form fasulli che “catturano” segreti.
- Sincronizzazione cifrata (Apple): i passkey viaggiano tramite iCloud Keychain con cifratura end-to-end; Apple non può vedere le tue chiavi.
- Piano B: registra un secondo dispositivo o una chiave FIDO2 fisica come backup (fondamentale in ambito aziendale).
Adozione nel 2025
- Google ha impostato i passkey come predefiniti nel 2023 per gli account personali e continua a spingerne l’adozione nel 2025.
- Consapevolezza e utilizzo sono in crescita: le indagini recenti della FIDO Alliance mostrano un aumento globale di familiarità e adozione.
Conclusione
I passkey aumentano la sicurezza e riducono la frizione. Se sei un utente, attivali oggi; se sei uno sviluppatore, integra WebAuthn e un fallback semplice. Meno password, meno ticket di supporto, più conversioni. Un vantaggio per te e per i tuoi utenti.